Onbekend IP adres als primaire DNS

[Majestic]

Gezien de vele klachten en storingen van “de dames” in huis inzake Netflix ging op onderzoek uit naar de bron van de storingen.

Al snel viel op dat alle WiFi apparatuur in huis als primair DNS adres het IP 185.141.25.61 heeft. Ik kende dit niet en na enig onderzoek kom ik tot de conclusie dat het om een IP adres uit Roemenië zou gaan. Als secundair adres is de DNS van Google ingesteld (8.8.8.8).

Mijn ziggo modem staat in bridge en mijn TP link router is tevens dhcp server. Op de TP link staan de primaire en secundaire DNS van Google ingevoerd als DNS adressen voor mijn netwerk. De WiFi verbinding loopt tevens via deze TP link router.

Door de tablets en telefoons van de dames hard in te stellen op de dns van Google zijn alle probleem verholpen. Blijft over, het onderbuik gevoel. Waarom een IP adres uit Roemenië als primair dns?

Iemand enig idee?

[unezra]

Eerste gedachte: Router of AP gehackt?

[jan99999]

Router firmware updaten, en kijken of deze nog steeds geupdate wordt.

indien je geen update krijgt, of een nieuwere router kopen, of een andere firmware op je oude router zetten, je hebt een paar open source firmwares, die gratis zijn, en vooral geupdate worden.

[johnkeates]

Ding gehackt of een pivot vanaf een gehackte client waarbij je het default wachtwoord van de TP nog in gebruik had, of een firmware lek waarbij via XSS je instellingen aangepast zijn zonder dat iemand malware hoefde te installeren of je wachtwoord nodig had (bijv. door JS te injecteren in een site die je toevallig bezocht).

Afhankelijk van hoe lang dit al aanwezig is zou het best wel eens kunnen zijn dat diverse email adressen nu gekraakt zijn en bijv. ook bankwebsites vervalst zijn.

Ik denk dat je maar beter alle clients kan gaan scannen op malware, wachtwoorden veranderen, financiele transacties nakijken enz. Ook meteen even http://haveibeenpwned.com langsgaan, misschien dat het via een gelekt account gebeurd is.

[Majestic]

Bedankt voor alle vlotte reacties. Ik denk inderdaad ook aan een hack. Ik zal vanavond die TP Link router aan een nadere analyse onderwerpen en updaten naar een andere firmware.

Andere vraag: is het denkbaar dat het Ziggo modem de oorzaak is?

[Brahiewahiewa]

Majestic schreef op donderdag 17 augustus 2017 @ 10:31:
...Andere vraag: is het denkbaar dat het Ziggo modem de oorzaak is?

Nee, want dan zouden je bedrade aansluitingen ook die rogue dns server hebben

[johnkeates]

Nee, het ziggo modem waarschijnlijk niet:

- Die is niet je DHCP server op het moment
- Die is niet ingesteld als DNS server
- Die heeft geen WAN controls
- Dan hadden alle Ziggo modems van dat type hetzelfde problemen en waren de rapen ondertussen wel gaar

Afhankelijk van het type TP-Link kan je overwegen OpenWRT of DD-WRT te installeren. In beide gevallen is het natuurlijk nog steeds belangrijk om de instellingen goed te zetten en updates bij te houden, maar dat gaat meestal een stuk beter dan de OEM firmwares.

[ Voor 33% gewijzigd door johnkeates op 17-08-2017 15:25 ]

[Majestic]

Officiële, nieuwere firmware van TP Link zojuist geïnstalleerd. Probleem helaas nog niet opgelost. Ga kijken naar OpenWRT of DD-WRT.

[EDIT]
Toch op kunnen lossen via de instellingen van de Router. Bij de DHCP / DNS settings was inderdaad het DNS adres vanuit Roemenie ingevuld. Enfin, router geüpdatet, wachtwoorden weer eens gewijzigd

[ Voor 44% gewijzigd door Majestic op 17-08-2017 18:09 . Reden: Toch opgelost ]